某学院任意用户登录,

小程序开局

打开小程序后，发现是一个入校预约系统。

并且在数据包中发现若依框架的url特征。

通过浏览器打开域名地址，发现是一个疫情防控系统，并暴露出分舵接口。我们可以在小程序登录后，跑一下这些接口。

首先通过访客登录进去，随后通过burp的intrude模块发送数据包，记得包logout退出登录数据包删除掉。

在getOnlineSchoolList接口可以获取到7703名学生的姓名、学号、班级和在校情况。

在teacherList接口中，可以获取到1809名教职工的工号、姓名、部门、脸部id等信息。

任意用户登录

在预约访问界面，我们从刚刚泄露的教职工信息中选取一条，进行预约!

重新进入小程序，选择我是教职工。点击页面中忘记密码

输入完收集到的工号姓名后即可重置密码

成功登陆

点击预约审批，发现我们刚刚预约的信息，包括姓名、手机号、身份证号等。

学生同样的操作也可以登录。